비밀번호 없이 ‘패스키’만으로 로그인…애플이 그리는 미래 [어센티케이트 APAC] 작성일 06-03 42 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="0AE6GMLxR8"> <p contents-hash="6bc91cfbd22065dc9125f9e79210e8c2393afab422db87a340f59cae47dfa62f" dmcf-pid="pcDPHRoMi4" dmcf-ptype="general">"비밀번호는 안전하게 설계된 수단이 아니다. 기본 인증 수단이 비밀번호가 아니라 패스키라면 세상은 더 나아질 것이다."</p> <p contents-hash="af7900f3147ab6f2b109957782b98645c160815f23ca4f012cb080028775e704" dmcf-pid="UkwQXegRif" dmcf-ptype="general">애플이 패스키(Passkey)를 기반으로 비밀번호 없는 계정 환경을 구현해 온 플랫폼 경험과 확산 방향을 공유했다. 애플은 패스키를 단순한 로그인 보조수단이 아니라 웹과 앱의 기본 인증 수단으로 보고, 지난 몇 년간 계정 생성부터 로그인, 자격증명 이동까지 관련 기능을 운영체제와 애플리케이션 환경에 녹여 왔다.</p> <div contents-hash="387a1c455922618ecf27b7f180ab7a9f82339b74485326b904a9ad884121e04c" dmcf-pid="uErxZdaeLV" dmcf-ptype="general"> 리키 몬델로(Ricky Mondello) 애플 수석 소프트웨어 엔지니어는 지난 2일 싱가포르 그랜드 하얏트 호텔에서 열린 '어센티케이트 APAC 2026(Authenticate APAC 2026)' 메인 스테이지 세션에서 '패스키 활용 극대화(Getting the Most out of Passkeys)'를 주제로 이 같은 내용을 발표했다. </div> <figure class="figure_frm origin_fig" contents-hash="7bd3c5a044c16de39f5adc0b417aec4988de58d3c83b4fbdcee29f78ded228fa" data-idxno="444434" data-type="photo" dmcf-pid="7DmM5JNdR2" dmcf-ptype="figure"> <p class="link_figure"><img alt="지난 2일 싱가포르 그랜드 하얏트 호텔에서 열린 '어센티케이트 APAC 2026(Authenticate APAC 2026)'에서 리키 몬델로(Ricky Mondello) 애플 수석 소프트웨어 엔지니어가 패스키 활용 전략을 발표하고 있다. / 싱가포르=정종길 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/03/552810-SDi8XcZ/20260603172739105spyk.jpg" data-org-width="1280" dmcf-mid="QdKRVsvmeD" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/03/552810-SDi8XcZ/20260603172739105spyk.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 지난 2일 싱가포르 그랜드 하얏트 호텔에서 열린 '어센티케이트 APAC 2026(Authenticate APAC 2026)'에서 리키 몬델로(Ricky Mondello) 애플 수석 소프트웨어 엔지니어가 패스키 활용 전략을 발표하고 있다. / 싱가포르=정종길 기자 </figcaption> </figure> <p contents-hash="0f24ac02cbbd86d4c3a88a7934f16632e87c56645e3df6fae158d5d2936f9075" dmcf-pid="zwsR1ijJJ9" dmcf-ptype="general">어센티케이트 APAC 2026은 FIDO 얼라이언스가 주최하는 디지털 신원·피싱 저항 인증 콘퍼런스다. 아시아·태평양 지역에서 올해 처음 열린 이번 행사는 패스키, 디지털 신원, 금융·결제, AI 에이전트 시대의 인증 문제를 주요 의제로 다룬다.</p> <p contents-hash="32b5341cee458a464bbfb61fbe93001d0c11d5f971ca501bd0ce65355723d8d6" dmcf-pid="qmIdFLcnnK" dmcf-ptype="general">패스키는 비밀번호 대신 공개키·개인키 쌍을 활용하는 FIDO(Fast IDentity Online) 기반 인증 방식이다. 이용자가 서비스에 패스키를 등록하면 개인키는 스마트폰이나 PC, 보안키 등 사용자가 가진 기기에 저장되고, 공개키는 서비스 서버에 등록된다. 로그인할 때 이용자는 비밀번호를 입력하는 대신 기기 안의 개인키로 서명을 전송하고, 서비스는 서버에 등록된 공개키로 이를 검증한다. 비밀번호처럼 입력해 넘기는 정보가 없고 인증 정보가 서비스 도메인과 연결돼 있어 피싱 사이트 등에서 탈취·재사용되기 어렵다.</p> <p contents-hash="2af453a78405eb7caad08899a11dffee3ccb72755a69ff175a7acd112137739e" dmcf-pid="BsCJ3okLnb" dmcf-ptype="general">몬델로 엔지니어는 비밀번호가 피싱, 비밀번호 재설정, 번거로운 다중요소인증(MFA) 등 이용자를 괴롭히는 원인이 돼 왔다고 지적했다. 사용자가 '강하고 고유한' 비밀번호를 만들고 기억하도록 요구하는 방식 자체가 사람에게 맞지 않는다는 설명이다.</p> <p contents-hash="6ff649a860e436ea0e1707d748f90e8cb679d427a9cb10fc8c3026691ccb8fd4" dmcf-pid="bOhi0gEoiB" dmcf-ptype="general">특히 그는 패스키 로그인 성공률이 비밀번호보다 30% 높고, 로그인에 걸리는 시간은 평균 73% 줄었다는 FIDO 얼라이언스 측 자료를 인용하며 효용성을 강조했다. 패스키는 보안성뿐 아니라 로그인 성공률과 속도를 함께 높이는 수단으로, 애플뿐 아니라 마이크로소프트와 틱톡 등 주요 온라인 서비스에서도 도입이 확산되고 있다.</p> <p contents-hash="71d95592cd0d5362afbf17190073335e05ce358fe8a23feca1911fd049cad7c1" dmcf-pid="KIlnpaDgJq" dmcf-ptype="general"><strong>처음부터 비밀번호 없이 계정 만들도록 개편</strong></p> <p contents-hash="c2062e77866fa61f3ba60553ee4050aedc8011c80dae1be9859b623ec9a6f544" dmcf-pid="9CSLUNwanz" dmcf-ptype="general">애플이 발표에서 공유한 첫 번째 확산 방식은 새 계정을 처음부터 패스키로 만들게 하는 것이다. 몬델로 엔지니어는 아이폰·아이패드·맥 앱에서 계정 생성과 패스키 생성을 한 번에 처리하는 '계정 생성 API(Account Creation API)'를 소개했다.</p> <p contents-hash="ad9db68ff3c32552e4a3cbe606ed65bdeb23014876c542e726592fe6386d499c" dmcf-pid="2hvoujrNi7" dmcf-ptype="general">이 기능을 쓰면 이용자가 새 계정을 만들 때 애플 계정, 연락처 카드, 기기 등록 회선 등에 저장된 이름·이메일 주소·전화번호 후보가 계정 생성 화면에 표시된다. 이용자는 필요한 정보를 확인하거나 선택한 뒤 페이스ID 등으로 본인 확인을 거치면 된다. 이 과정에서 비밀번호를 따로 만들지 않고 패스키까지 함께 생성된다.</p> <p contents-hash="cccfd7b098d64bb5779afd2a80a885af0aca7ecf6f63dc502251d4331f8057cc" dmcf-pid="VlTg7Amjiu" dmcf-ptype="general">몬델로 엔지니어는 애플뿐 아니라 마이크로소프트와 틱톡 등과 같은 주요 온라인 서비스가 이미 새 계정 생성 경험에서 패스키를 전면에 두고 있다고 말했다. 이들 모두 새 이용자에게 처음부터 "패스키 계정이 더 편리하고 안전하다"는 메시지를 주고 있다.</p> <p contents-hash="a99667d0e9eee30b43e22a90ea150f649130c0d6fd10eb1ca33efd55f9d5222e" dmcf-pid="fSyazcsALU" dmcf-ptype="general">애플은 기존 비밀번호 기반 계정도 패스키 전환을 유도하고 있다. '자동 패스키 업그레이드(Automatic Passkey Upgrades)' 방식을 이용해서다. 이용자가 비밀번호 관리자를 사용해 로그인하면, 조건을 충족한 경우 별도 안내 화면으로 사용 흐름을 끊지 않고 패스키를 자동 생성하는 기능이다. 사용자가 서비스에 들어온 목적은 로그인 설정이 아니라 실제 서비스를 쓰는 데 있는 만큼, 패스키 전환도 이 흐름을 방해하지 않아야 한다는 게 몬델로 엔지니어의 설명이다.</p> <p contents-hash="2a548a98c15e1c41509c085b50b026b86c58ed81aaac0f3ee6341d88b2d1ccb6" dmcf-pid="4vWNqkOcep" dmcf-ptype="general">뿐만 아니라 애플은 로그인 경험도 단순해야 한다고 봤다. 사용자는 앱을 다시 설치하거나 새 기기에서 접속할 때 자신이 패스키, 비밀번호, 소셜 로그인 중 어떤 방식으로 가입했는지 기억하지 못하는 경우가 많다. 잘못된 로그인 버튼을 눌러 두 번째 계정을 만드는 일도 생긴다.</p> <div contents-hash="2ec8369a93c206c8eb896445fb527f7b2b17157118f38ace4dddbf24a1040e22" dmcf-pid="8TYjBEIkd0" dmcf-ptype="general"> 이를 줄이기 위해 애플은 기기에 저장된 자격증명만을 바로 보여주는 로그인 방식을 제안했다. 앱을 열었을 때 기기에 저장된 패스키나 계정 정보를 바탕으로 로그인 선택지를 보여주고, 저장된 자격증명이 없으면 불필요한 화면을 띄우지 않는 방식이다. </div> <figure class="figure_frm origin_fig" contents-hash="8a88eaee800d06466119632615158a293bb8e2ccf6e6dca541498ed22173768b" data-idxno="444433" data-type="photo" dmcf-pid="6yGAbDCEd3" dmcf-ptype="figure"> <p class="link_figure"><img alt="리키 몬델로(Ricky Mondello) 애플 수석 소프트웨어 엔지니어가 지난 2일 싱가포르 그랜드 하얏트 호텔에서 열린 '어센티케이트 APAC 2026(Authenticate APAC 2026)'에서 애플 생태계에 패스키를 적용·확산한 과정을 소개하고 있다. / 싱가포르=정종길 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/03/552810-SDi8XcZ/20260603172740462qhcg.jpg" data-org-width="600" dmcf-mid="x6mXlfMVME" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/03/552810-SDi8XcZ/20260603172740462qhcg.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 리키 몬델로(Ricky Mondello) 애플 수석 소프트웨어 엔지니어가 지난 2일 싱가포르 그랜드 하얏트 호텔에서 열린 '어센티케이트 APAC 2026(Authenticate APAC 2026)'에서 애플 생태계에 패스키를 적용·확산한 과정을 소개하고 있다. / 싱가포르=정종길 기자 </figcaption> </figure> <p contents-hash="5e4f5d16b86c2775637745d35e903893b28179e6fb6459340905a3c48f484466" dmcf-pid="PWHcKwhDRF" dmcf-ptype="general"><strong>"피싱 가능한 우회로 줄여야 효과 커져"</strong></p> <p contents-hash="cce0c4a53b00b485bc694bd47e93fc703feaea46899e3102d93f314e60f24584" dmcf-pid="QYXk9rlwLt" dmcf-ptype="general">몬델로 엔지니어는 패스키 도입 이후의 계정 보안 설계에 대한 내용도 공유했다. 패스키를 기존 비밀번호 로그인 뒤에 붙이는 추가 단계로만 쓰면 보안 효과가 제한될 수 있다는 게 그의 설명이다.</p> <p contents-hash="16dbad05dcde02a3331e650decaa49d31f45a330c6b4031f7ecabb951fe78a78" dmcf-pid="xGZE2mSri1" dmcf-ptype="general">패스키는 그 자체로 피싱에 강한 인증 수단이다. 하지만 계정에 비밀번호, 이메일 매직링크, SMS 일회용비밀번호(OTP)처럼 피싱이 가능한 로그인·복구 수단이 그대로 남아 있으면 공격자는 그 우회로를 통해 사용자를 노릴 수 있다. 몬델로 엔지니어는 이를 "튼튼하게 보강한 현관문을 설치해 놓고 차고 문을 열어두는 것과 같다"고 비유했다.</p> <p contents-hash="2493ec41cd0e937cff209db0bd4b4e53658c8bf1a7c179d7369aa6bd5fded571" dmcf-pid="yeizOK6bd5" dmcf-ptype="general">이런 이유에서 그는 "패스키를 추가 로그인 방식으로 두는 것만으로는 사용자 경험 개선 효과는 얻을 수 있지만, 패스키가 약속한 보안 효과를 온전히 제공하기 어렵다"고 했다. 패스키 기반 계정의 보안 효과를 높이려면 피싱 가능한 로그인·복구 수단을 없애거나 줄여야 한다는 것이다.</p> <p contents-hash="c6801e7e1ed3fd30a8bb9109e774370818d1925579530d14e0ffde3bcbaa807f" dmcf-pid="WV85j3qFnZ" dmcf-ptype="general">다만 몬델로 엔지니어는 비밀번호 없는 계정 전환이 일괄적으로 이뤄지기 어려운 만큼 단계적으로 진행해야 한다고 말했다. 먼저 서비스가 계정 설정에서 이용자가 비밀번호를 삭제하고 패스키만으로 로그인할 수 있도록 시스템 기능을 준비해야 한다. 이후 패스키로 반복해서 문제없이 로그인하고 비밀번호 사용이 거의 없는 이용자에게 '비밀번호 없는 계정'으로의 전환을 권유할 수 있다. 즉 서비스 운영자가 충분한 확신을 얻으면 이용자가 직접 선택하는 옵트인 방식에서, 기본적으로 비밀번호 없는 계정으로 전환하되 필요할 때 거부할 수 있는 옵트아웃 방식으로 바꿀 수 있다는 설명이다.</p> <p contents-hash="a581a73bc7d0e0db40463e571aa748e09d0f20e20a6d7523bc6589feb329fb73" dmcf-pid="Yf61A0B3iX" dmcf-ptype="general">패스키의 이동성도 확산의 핵심 요소로 제시됐다. 이용자가 비밀번호 관리자 앱이나 플랫폼을 바꿀 때 패스키도 안전하게 옮길 수 있어야 한다는 것이다. 몬델로 엔지니어는 FIDO 얼라이언스가 자격증명 교환 포맷을 마련했고, 애플도 이를 기반으로 iOS 26과 맥OS 26에서 자격증명 관리 앱 사이에 패스키를 안전하게 옮길 수 있는 기능을 구현했다고 설명했다. 패스키 데이터를 파일로 내보낸 뒤 다시 가져오는 방식이 아니라, 사용자가 출발 앱과 대상 앱을 선택하면 별도 파일 생성 없이 자격증명 관리 앱 사이에서 이전되는 구조다.</p> <p contents-hash="db27b8beb03740dfd8adbc7262a0e6dca63ca89df537f5d9a50823556a755c74" dmcf-pid="G4Ptcpb0dH" dmcf-ptype="general">몬델로 엔지니어는 "더 빠르고 성공률 높은 로그인은 훌륭한 출발점이지만 그것만으로는 충분하지 않다"고 말했다. 그러면서 "패스키를 쓰는 계정이라면 비밀번호를 계속 남겨둘지 재검토하고, 비밀번호 없는 계정으로 전환하는 계획을 세워야 한다"고 덧붙였다.</p> <p contents-hash="f83def812e1edf44d5aad4435e5d34ac19f8959d79d0f883542c8fd50922cf40" dmcf-pid="H8QFkUKpdG" dmcf-ptype="general">싱가포르=정종길 기자<br>jk2@chosunbiz.com</p> </section> </div> <p class="" data-translation="true">Copyright © IT조선. 무단전재 및 재배포 금지.</p> 관련자료 이전 [핸드볼 H리그 결산] 흔들린 ‘어우두’ 신화… 부상 악재 속 사상 첫 플레이오프 좌절된 두산 06-03 다음 [PIS FAIR 2026 미리보기] 넷킬러, 데이터 오염 막는 ‘안전한 AI 학습 거버넌스’ 선보인다 06-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
